أكثر من 40 شركة متخصصة في العملات المشفرة تدق ناقوس الخطر بشأن الفجوة الأمنية في مجال الذكاء الاصطناعي

نشر معهد سياسات البيتكوين الرسالة المفتوحة، التي تحمل عنوان «المدافعون بحاجة إلى الحدود»، في 10 أغسطس. ومن بين الموقعين على الرسالة: Coinbase، وBitgo، وBlock، وBlockstream، وAnchorage Digital، وARK Invest، وBitwise، وFoundry، وStrategy، وMARA، وGalaxy، وTrezor، بالإضافة إلى مجموعات دعم المطورين مثل Brink، وChaincode Labs، وBtrust، وOpenSats، وBTCPay Server.

سباق بين المهاجمين والمدافعين

يركز الطلب على الواقع المتغير في مجال الأمن السيبراني. يمكن لأنظمة الذكاء الاصطناعي المتقدمة فحص مجموعات ضخمة من أكواد الكمبيوتر، وتحديد نقاط الضعف المحتملة، ومساعدة الباحثين على اختبار ما إذا كان من الممكن استغلال أي ثغرة.

ويمكن أن يؤدي ذلك إلى جعل عمليات المراجعة الأمنية أسرع وأكثر شمولاً. كما يمكن أن يجعل الهجمات أقل تكلفة وأسهل في التوسع. وتأتي هذه الأخبار في أعقاب الاختراق الذي تعرضت له «كولدكارد» (Coldcard) مؤخراً، حيث اشتُبه في أن الذكاء الاصطناعي قد اكتشف عيباً في البرنامج الثابت لمحفظة الأجهزة قبل أن تنفجر.

يقول التحالف إن مختبرات الذكاء الاصطناعي الكبيرة ومجموعة صغيرة من الشركاء المختارين غالبًا ما تحصل على رؤية مبكرة لتلك القدرات، في حين أن الأشخاص الذين يتولون صيانة البرامج المالية مفتوحة المصدر المستخدمة على نطاق واسع لا يحصلون على ذلك. وتشير الرسالة إلى أنه بحلول الوقت الذي تصبح فيه الأدوات الأقوى متاحة على نطاق واسع، قد يكون المهاجمون قد وجدوا بالفعل طرقًا للوصول إلى قدرات مماثلة أو نسخها أو بنائها.

تقول الرسالة: «الذكاء الاصطناعي الرائد يغير اقتصاديات كل من الأبحاث الأمنية والعمليات السيبرانية». وتحذر من أن المدافعين يواجهون في كثير من الأحيان قيودًا أمنية عندما يحاولون استخدام منتجات الذكاء الاصطناعي العامة لأغراض البحث المشروع، مما يجبرهم على «الاعتماد على بدائل مفتوحة المصدر أقل قدرة لإجراء المراجعات الأمنية الحاسمة».

النماذج مفتوحة المصدر هي أنظمة ذكاء اصطناعي يمكن للمطورين الخارجيين تنزيل البرامج الأساسية الخاصة بها وتكييفها. ويمكن أن تكون مفيدة، لكن التحالف يقول إنها قد لا تضاهي أقوى النماذج المتاحة من المختبرات الكبرى. ويكون هذا الاختلاف مهمًا عندما يتعين على فريق صغير فحص برامج معقدة تتعامل مع أموال حقيقية.

ما هو المعرض للخطر

تبلغ قيمة البيتكوين وحدها أكثر من تريليون دولار، وفقًا للرسالة. كما يعتمد نظام الأصول الرقمية الأوسع نطاقًا على البرمجيات مفتوحة المصدر للمحافظ، ومكتبات التشفير، ومعالجات الدفع، والبورصات، وخدمات الحفظ، وأدوات شبكة Lightning Network.

يمكن أن يؤدي وجود خلل في أي من هذه العناصر إلى عواقب وخيمة. غالبًا ما تعمل الأصول الرقمية كأدوات لحاملها: فقد يعني التحكم في بيانات الاعتماد التشفيرية التحكم في الأموال. وبمجرد تحويل الأموال، قد يكون استردادها صعبًا أو مستحيلًا.

وهذا يجعل الكشف السريع أمرًا بالغ الأهمية بشكل خاص للمستهلكين الذين يحتفظون بمدخراتهم، والتجار الذين يقبلون مدفوعات البيتكوين، والشركات التي تحمي أصول عملائها. ويؤكد التحالف أن نقاط الضعف الأمنية يمكن أن تعرض حسابات التقاعد، وأموال الشركات، ومدخرات الطوارئ، ورأس المال المؤسسي للخطر، وليس مجرد أنظمة البرمجيات.

تشير الرسالة إلى أن الضغط أصبح واضحًا بالفعل بين فرق الصيانة الصغيرة. وتذكر أن معهد سياسات البيتكوين تلقى تقارير تفيد بأن جهات متطورة، بما في ذلك خصوم أجانب محتملون، تستخدم قدرات متقدمة في الذكاء الاصطناعي لمواصلة الضغط على مطوري البرمجيات مفتوحة المصدر. وحتى الهجمات غير الناجحة يمكن أن تستهلك الوقت والمال اللذين كان من الممكن أن ينفقهما القائمون على الصيانة في تحسين برمجياتهم.

أظهرت مراجعة حديثة القوة الدفاعية للذكاء الاصطناعي

تأتي هذه المبادرة في أعقاب مشروع تطوعي أُطلق في أوائل أغسطس باسم «فريق بيتكوين الأحمر» (Bitcoin Red Team)، والذي استخدم أدوات مدعومة بالذكاء الاصطناعي لتدقيق الكود البرمجي المتعلق ببيتكوين. وكان من بين المشاركين مطور Cashu كالي (Calle) والرئيس التنفيذي لشركة Anchorwatch روب هاميلتون (Rob Hamilton).

في إحدى اللقطات المبكرة التي نُشرت على X، راجع الفريق 390 مشروعًا في حوالي 27.5 ساعة وسجل ما يقارب 4,962 نتيجة. وشملت تلك النتائج العشرات التي صُنفت على أنها حرجة، والمئات التي اعتُبرت ذات خطورة عالية. استخدم الفريق عدة أنظمة للذكاء الاصطناعي، بما في ذلك نظام «كيمي كي 3» (Kimi K3) من «مونشوت» (Moonshot)، وأنظمة «أوبن إيه آي» (OpenAI)، ومتغيرات «كلود» (Claude) من «أنثروبيك» (Anthropic)، بينما ساعدت «أوبنساتس» (Opensats) في تمويل تكاليف الحوسبة التي قُدرت بعشرات الآلاف من الدولارات.

لا تُعتبر هذه النتائج نقاط ضعف مؤكدة تلقائيًا. فلا تزال التقارير التي يُنتجها الذكاء الاصطناعي تتطلب أشخاصًا ذوي خبرة للتحقق منها، وتقييم خطورتها، وتنسيق الإصلاحات. لكن حجم هذا الجهد أظهر مدى السرعة التي يمكن بها للذكاء الاصطناعي مساعدة الباحثين الأمنيين في فحص الشفرات المعقدة التي قد يستغرق فحصها وقتًا أطول بكثير لولا ذلك.

يقول التحالف إن قيود الوصول أجبرت المجموعة على الاعتماد بشكل كبير على النماذج المتاحة خلال عملها الأولي. ويتمثل حجتها الأوسع نطاقًا في أن المدافعين المؤهلين يجب أن يكونوا قادرين على استخدام الأنظمة الأكثر كفاءة قبل أن تصبح تلك الأنظمة أدوات شائعة للمجرمين أو الحكومات المعادية.

اختراق حقيقي رفع مستوى المخاطر

أصبح النقاش أكثر إلحاحًا بعد أن كشف خادم BTCPay عن ثغرة خطيرة تؤثر على الإصدارات السابقة للإصدار 2.4.2. BTCPay هو برنامج مفتوح المصدر يساعد التجار على قبول مدفوعات البيتكوين.

قد تسمح هذه الثغرة لمهاجم عن بُعد غير مصادق عليه بالحصول على بيانات اعتماد حساسة للمسؤول في LND، وهو تطبيق شائع الاستخدام لشبكة Lightning Network. وقد تمنح بيانات الاعتماد هذه المهاجم السيطرة على المحافظ المتصلة وتسمح باستنزاف الأموال. تم استغلال الثغرة بشكل نشط، وأبلغ بعض المشغلين عن تكبد خسائر.

وقد قدم هذا الحادث مثالاً ملموساً على الحجة الواردة في الرسالة. ساعد أعضاء فريق Bitcoin Red Team في تحليل المشكلة، بينما لعب مطور محفظة Sparrow Wallet، كريغ راو، دوراً رئيسياً في تحديدها بعد أن تأثر بها، وفقاً للتقرير المصدر. وقالت BTCPay إن الذكاء الاصطناعي يغير التوازن بين المهاجمين والمدافعين من خلال خفض تكلفة مراجعة قواعد البرمجة الضخمة.

التحالف لا يطالب بالإصدار المفتوح

لا يدعو الموقعون إلى وصول عام غير مقيد إلى نماذج الذكاء الاصطناعي الأكثر قدرة في المجال السيبراني. بدلاً من ذلك، يريدون برامج وصول موثوقة دائمة للأشخاص والمجموعات التي يمكنها إثبات مسؤوليات أمنية مشروعة.

وستوفر البرامج التي اقترحوها وصولاً مبكراً وخاضعاً للرقابة إلى النماذج المتقدمة، بما في ذلك أنظمة ما قبل الإصدار عند الاقتضاء. كما يسعون إلى توفير سعة حوسبة كافية لمهام الذكاء الاصطناعي طويلة الأمد، ومساحات آمنة لفحص الشفرات الخاصة أو المحظورة، وقنوات اتصال مباشرة مع فرق الأمن في المختبرات.

وتطالب الرسالة على وجه التحديد المختبرات بعدم قصر الأهلية على الشركات الكبرى والحكومات. وتشير إلى أن المنظمات غير الربحية الصغيرة، ومسؤولي الصيانة المستقلين، والمطورين المتطوعين غالبًا ما يحمون البرامج التي يستخدمها ملايين الأشخاص، ومع ذلك قد يفتقرون إلى الموارد أو الروابط المؤسسية اللازمة للانضمام إلى البرامج الحالية.

وتختتم الرسالة بالقول: «يحتاج المدافعون إلى آفاق جديدة. نرجو منكم منحهم فرصة عادلة للانطلاق».

سيتوقف ما سيحدث بعد ذلك على ما إذا كانت مختبرات الذكاء الاصطناعي الرائدة ستوسع نطاق برامج الوصول المتخصصة في مجال الأمن السيبراني، وما إذا كانت ستدرج البنية التحتية المالية مفتوحة المصدر في قواعد الأهلية الخاصة بها. لا تزال الرسالة مفتوحة لتوقيعات إضافية، وينبغي على مستخدمي البيتكوين والتجار والمستثمرين متابعة ردود المختبرات ونتائج التدقيق الجديدة والمزيد من الإفصاحات من مشاريع البرمجيات التي تعتمد على المراجعات الأمنية المدعومة بالذكاء الاصطناعي.